CVE-2026-69141 in SuiteCRM
الملخص
بحسب VulDB • 05/11/2026
SuiteCRM هو تطبيق برمجي مفتوح المصدر لإدارة علاقات العملاء (CRM) جاهز للاستخدام على مستوى المؤسسات. قبل الإصدارين 7.15.2 و 8.10.2، تقوم إجراء `action_get_kb_articles` في وحدة التحكم `CasesController` بإدخال قيمة `$_POST['search']` داخل تعبير `CASE WHEN ... LIKE` وفي جملة SQL WHERE. وعلى الرغم من أن الدالة `securexss()` تقوم عادةً بتشفير علامات الاقتباس ككيانات (entity-encoding)، فإن الإدخال الذي يسبقه حمولة XSS يجعل AntiXSS يختار سلسلة معالجة بدلاً من النسخة الاحتياطية المشفرة، مما يسمح لعلامة اقتباس حرفية بالوصول إلى الاستعلام. يمكن لمستخدم ذي صلاحيات منخفضة مع وصول إلى وحدة Cases تنفيذ حقن SQL أعمى واستخراج معلومات قاعدة بيانات حساسة. تم إصلاح هذه المشكلة في الإصدارين 7.15.2 و 8.10.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.